irflow-timeline

IRFlow Timeline 原生 macOS 取证时间线分析。可导入、搜索并调查 EVTX、CSV、XLSX、Plaso、$MFT、$J 以及本地 AI 助手工件 — 并配备 AI Secret Hunt 和取证调查人员真正需要的分析功能。基于 Electron + SQLite 构建，可轻松处理数百万行数据。 灵感来自 Eric Zimmerman 为 Windows 设计的 Timeline Explorer。 主要功能 AI 工件 — 将来自 Claude Code、Codex、ChatGPT Desktop、Gemini CLI、Cursor、Copilot、Windsurf...

Persistnux

Persistnux 一个全面的Linux持久化检测工具，用于数字取证和事件响应（DFIR）调查。 概述 Persistnux 是一个基于 Bash 的工具，旨在识别攻击者用于维护对受感染系统访问权限的已知 Linux 持久化机制。它对系统执行全面检查，并生成 CSV 和 JSONL 格式的详细报告，便于进一步分析。 特性 全面检测 ：覆盖所有主要的 Linux 持久化机制 实时分析 ：直接在运行中的系统上运行，依赖最小 详细输出 ：生成 CSV 和 JSONL 报告，包含文件哈希、元数据和置信度评分 支持 Root 和非 Root ：可在有或没有 root 权限的情况下运行（非 roo...

loki-parse

loki-parse 一款Python脚本，能够检测并解析被入侵主机与C2服务器之间的loki-bot（恶意软件）相关网络流量。该脚本可帮助DFIR分析师和安全研究人员了解哪些数据被外泄至C2服务器、进行僵尸网络追踪等。 该脚本可以直接嗅探网络接口（无需交换机），或读取PCAP网络流量文件（使用 --pcap $pcapfile）。当脚本检测到loki-bot相关网络流量时，会以JSON格式将数据包中的内容输出到屏幕。...

UnderlayCopy

UnderlayCopy UnderlayCopy es una utilidad de PowerShell para la adquisición de bajo nivel de NTFS y el volcado de artefactos de sistema protegidos y bloqueados por ejemplo: SAM , SYSTEM , NTDS.dit , hives del registro y otros archivos que normalmente son inaccesibles mientras Windows se está...

MasterParser

MasterParser v2.5 别再浪费时间了，让 MasterParser 为你代劳！ 创建和维护者：Eilay Yosfan MasterParser 是什么？ MasterParser 是一款强大的数字取证与应急响应（DFIR）工具，专为分析 var/log 目录下的 Linux 日志而精心设计。它专为加速 Linux 系统上安全事件的调查流程而打造，能够智能扫描受支持的日志文件（例如 auth.log），提取 SSH 登录、用户创建、事件名称、IP 地址等关键信息。该工具生成的摘要以清晰简洁的格式呈现这些信息，大幅提升了应急响应人员的工作效率和信息可访问性。除 DFIR...

ma2tl

ma2tl macapt 到时间线 这是一个DFIR工具，用于从macapt的分析结果数据库生成macOS法医时间线。 需求 Python 3.7.0 或更高版本 pytz tzlocal xlsxwriter 安装 % git clone https://github.com/mnrkbys/ma2tl.git 用法 % python ./ma2tl.py -h usage: ma2tl.py -h -i INPUT -o OUTPUT -ot OUTPUTTYPE -s START -e END -t TIMEZONE -l LOGLEVEL plugin plugin...

ma2tl

ma2tl macapt to timeline This is a DFIR tool for generating a macOS forensic timeline from the analysis result DBs of macapt. Requirements Python 3.7.0 or later pytz tzlocal xlsxwriter Installation % git clone https://github.com/mnrkbys/ma2tl.git Usage % python ./ma2tl.py -h usage: ma2tl.py -h -i...

Finding the LNK: Techniques and methodology for advanced analysis with Velociraptor

Malicious exploitation of LNK files, commonly known as Windows shortcuts, is a well-established technique used by threat actors for delivery and persistence. While the value of LNK forensics for cyber threat intelligence CTI is fairly well-understood, analysts may overlook less well-known data...